メール認証（SPF/DKIM/DMARC）とは｜なりすましメール対策の現在地とBEC被害の実態

「取引先そっくりのメールで振込先が変更された」「請求書の偽装メールに気づかず送金してしまった」——こうした被害の多くは、実は技術的な仕組みで大部分を防げます。それが「送信ドメイン認証」と呼ばれるSPF・DKIM・DMARCという3つの技術です。名前だけは聞いたことがあっても、何をしているのか、自社は対応できているのか、正確に把握している人は意外と少ないもの。最新の被害統計と日本企業の対応状況をもとに、やさしく整理します。

メール本来の弱点：送信元は「自己申告」でしかない

そもそもメールの仕組みを定めた古い規格（SMTP）には、送信元を偽ることを防ぐ機能がほとんど組み込まれていません。差出人欄に表示される名前やドメインは、極端に言えば「自己申告」に近く、悪意のある人が実在する企業のドメインをそのまま騙って送ることも技術的には可能でした。この弱点を突いた攻撃が、フィッシングや、経営者・取引先になりすまして送金を指示する「BEC（Business Email Compromise、ビジネスメール詐欺）」です。SPF・DKIM・DMARCは、この「自己申告」の部分に検証の仕組みを持ち込むための技術です。

SPF・DKIM・DMARCはそれぞれ何をしているのか

3つの技術は役割が異なり、単体ではなく組み合わせて使うことで効果を発揮します。

被害の実態：BECはいくら盗まれているのか

米FBIの犯罪苦情受付窓口「IC3」が発表した2025年の年次報告書によると、サイバー犯罪全体の被害額は前年から26%増の約208億ドル（約2兆円超）にのぼり、このうちBEC単独の被害額は約30.46億ドルと、前年の27.7億ドルからさらに増加しました¹。BECによる被害の86%が電信送金（wire transfer）やACH送金を経由しており、検知した時点ではすでに資金が移動済みで、取り戻すのが極めて難しいという特徴があります²。

日本国内でも、Proofpointの分析によると2025年に確認された新種のメール攻撃は前年比5.4倍に増加し、うち82.8%が日本を標的にしていたと報告されています。生成AIの普及によって不自然な日本語という「見分けるヒント」が減っていることも、標的化を後押ししている要因とみられます³。BECの手口や心理的な仕掛けそのものについてはソーシャルエンジニアリングの記事でも扱っています。

日本企業の対応状況：導入は進んでも「本格運用」はまだ

Proofpointが2026年7月に実施した調査によると、日経225企業のDMARC導入率は92%に達し、2024年8月時点の83%から着実に上昇しました。ただし、なりすましメールを実際に隔離・拒否する「Quarantine」または「Reject」まで運用している企業は43%にとどまり、大半はDMARCを設定していても監視のみの「None」で止まっているのが実情です⁴。

方針	日経225企業	米Fortune1000企業
Reject（受信拒否）	21%	61%
Quarantine（隔離）	22%	22%
None（監視のみ）	48%	15%
未導入	8%	2%

米Fortune1000企業ではReject・Quarantineを合わせた「本格運用率」が83%に達しており、日本企業との差は導入率よりもむしろ運用の踏み込み方に表れています。業種別では金融・保険業の本格運用率が60%と比較的進んでいる一方、情報通信業や不動産業では「None」運用が6〜8割を占める企業も多く、業種によるばらつきも大きいことがわかっています⁵。

なぜ「導入しただけ」では意味が薄いのか

DMARCは設定するだけなら難しくありません。しかし、その効果を左右するのは「どの方針（ポリシー）で運用しているか」です。

いきなり「Reject」に設定すると、把握できていなかった正規の送信元（例えば営業チームが契約したメール配信ツールなど）まで一緒にブロックしてしまうリスクがあります。そのため、まずは監視のみの「None」でレポートを収集し、正規の送信元を洗い出したうえで段階的に方針を引き上げる進め方が一般的です。この「送信元の可視化」は、AIエージェントやSaaSが自動でメールを送信する場面が増えている今、これまで以上に重要になっています。

対応しないとどうなるか：自社が届かなくなるリスクも

DMARC対応は「なりすまし被害を防ぐ」という受け身の理由だけでなく、「自社の正規メールを確実に届ける」という攻めの理由でも避けて通れなくなっています。GoogleとYahoo!は2024年2月から、1日5,000通以上を送信する送信者に対してSPF・DKIM・DMARCの設定を義務付けており、Microsoft（Outlook.com）も2025年4月に同様の要件を明確化しました⁷。日本国内でも、金融庁が2024年10月に金融機関へSPF/DKIM/DMARCの設定を強く推奨し、総務省は2025年9月、電気通信事業者に対してDMARC（Reject/Quarantine）とBIMIの導入を要請する異例の対応を取っています⁸。設定要件を満たさないと、迷惑メール判定や配信不可といった形で、自社が送るメール自体が相手に届かなくなる可能性があります。

まとめ

• SPF・DKIM・DMARCは、メールの送信元ドメインを検証し、なりすましメールへの対応方針を宣言する「送信ドメイン認証」の技術群で、組み合わせて使うことで効果を発揮する
• 2025年のBEC被害額は米国だけで約3,046億円（前年比増）に達し、被害の86%が電信送金・ACH送金経由で、検知後の資金回収が難しいという特徴がある
• 日経225企業のDMARC導入率は92%まで上昇したが、なりすましを実際に遮断する「Reject/Quarantine」の本格運用率は43%にとどまり、米Fortune1000企業の83%との差が大きい
• DMARCは「None（監視）→Quarantine（隔離)→Reject（拒否）」と段階的に運用を強化していく必要があり、いきなりRejectにすると正規メールまで巻き込むリスクがある
• GmailやYahoo!の送信者要件により、DMARC未対応は自社の正規メールが届かなくなるリスクにも直結する

もう少し詳しく（背景）

DMARCという技術自体は2012年ごろから存在していましたが、本格的に「対応必須」の空気が広がったのは2024年2月、GoogleとYahoo!が大量送信者向けガイドラインを施行したことがきっかけでした。それ以降、Microsoft・Appleといった主要メールプロバイダも足並みを揃え、事実上「メールを送るなら送信ドメイン認証は前提」という状況になりつつあります。日本でも2023年に経済産業省・警察庁・総務省がクレジットカード会社にDMARC対応を要請したのを皮切りに、政府機関のセキュリティ統一基準、日本証券協会のガイドラインなど、業界横断で対応要請が広がってきました⁹。

技術仕様の面でも動きがあり、DMARCの標準仕様は2026年5月に更新され、従来のRFC 7489から、RFC 9989・9990・9991という新しい仕様群に整理されています¹⁰。仕様が整理される一方、日本企業に残る課題は「導入率」ではなく「運用の踏み込み方」です。Proofpointの調査が示すように、DMARCを設定していても方針が「None」のままでは、なりすましメールは記録されるだけで実際には何も防げません。自社のドメインを守るだけでなく、取引先や顧客をなりすましメールの被害から守るという意味でも、段階的にでもQuarantine・Rejectへと運用を引き上げていくことが、これからのメール運用の基本動作になっていくと考えられます。全体像を押さえたい方は、まずサイバーセキュリティとは？から読み進めるのもおすすめです。

Footnotes

1. 米FBIのInternet Crime Complaint Center（IC3）が発表した「2025 Internet Crime Report」によると、2025年のサイバー犯罪による被害総額は約208.77億ドル（前年比26%増）、うちBEC単独の被害額は約30.46億ドル（前年は約27.7億ドル）。 ↩

2. 同報告書では、BEC被害額の86%が電信送金（wire transfer）またはACH送金を経由していたと報告されている。 ↩

3. 日本プルーフポイント株式会社の分析（2026年2月発表）によると、2025年に確認された新種メール攻撃は前年比5.4倍に増加し、そのうち82.8%が日本を標的にしていたと報告されている。 ↩

4. 日本プルーフポイント株式会社が2026年7月に実施した調査（2026年8月発表）によると、日経225企業のDMARC導入率は92%（2024年8月調査時点は83%）。方針の内訳はReject 21%、Quarantine 22%、None 48%、未導入8%で、Reject・Quarantineを合わせた本格運用率は43%。米Fortune1000企業は導入率98%、本格運用率83%（Reject 61%、Quarantine 22%、None 15%、未導入2%）。 ↩

5. 同調査では、日本の金融・保険業の本格運用率が60%（Reject 45%、Quarantine 15%）である一方、情報通信業はNone運用が60%、不動産業・物品賃貸業はNone運用が80%を占めるなど、業種によるばらつきが大きいと報告されている。 ↩

6. 同調査では、政府広報オンライン掲載の官公庁ドメイン（重複除く33ドメイン）のうちRejectが18%、Noneが61%、未導入が12%だった一方、調査対象の米国政府系34ドメインはすべてRejectを採用していたと報告されている。 ↩

7. Googleは2024年2月1日以降、Gmailへ1日5,000通以上を送信する送信者にSPF・DKIM設定と、送信元ドメインへのDMARC設定（方針はNoneでも可）を義務付けている。Yahoo!も同時期に同様の要件を施行し、Microsoft（Outlook.com/Hotmail）は2025年4月に高volume送信者向けの同様の要件を明確化した。 ↩

8. 金融庁は2024年10月、金融機関に対しSPF/DKIM/DMARCの設定を強く推奨する通知を発出。総務省は2025年9月、電気通信事業者・ISP事業者等に対しDMARC（RejectまたはQuarantine）とBIMIの導入を要請した。総務省の情報通信白書によれば、JPドメイン全体でのSPF導入率は約88.4%、DMARC導入率は約32.6%（2024年9月時点）。 ↩

9. 2023年2月に経済産業省・警察庁・総務省がクレジットカード会社へDMARC対応を要請したほか、2023年6月には政府機関等の情報セキュリティ対策のための統一基準にDMARC（Reject/Quarantine）とBIMIの設定が推奨事項として盛り込まれ、2026年6月の改定では基本対策事項に格上げされた。2025年10月には日本証券協会がインターネット取引を行う証券会社等に対しDMARCのReject導入を強く推奨するガイドラインを公表している。 ↩

10. DMARCの標準仕様は2026年5月に更新され、従来のRFC 7489が、RFC 9989・RFC 9990・RFC 9991という新しい仕様群に整理された。 ↩